Jail + NAT

[buebo]

Moin,
ich würde ganz gerne meinen mldonkey und ein paar andere "kleine" sachen in einem Jail laufen lassen, allerdings habe ich grade ein Verständnissproblem wie sich das zusammen mit einen ppp-Zugang (DSL, in meinem Fall) verträgt.
Man gibt ja der eigenen Netzwerk-Karte noch ein IP-Alias und ordnet diese dem Jail zu, bindet sich das Jail aber nun nur an diese Adresse, muss ich also Ports die auch auf dem tun-Device offen sein sollen explizit an das Jail weiterleiten?
Weiter habe ich gelesen das man mit einigen Diensten auf dem Host probleme bekommen kann weil sie sich in jedem Fall an alle IP-Adressen binden, also auch an die des Jails, wäre es denn möglich noch eine NIC einzubauen, diese aber nur im Jail zu aktivieren und ihr eine Adresse in einem eigenen Subnet zuzuweisen, so das man den Vorteil von einem reinen Router + einem Server hat, ohne physisch zwei Rechner laufen zu haben?
Ich stelle mir das so vor, das im Host eine NIC steckt und diese zwei IP-Adressen in unterschiedlichen Subnets bekommt, eine zweite NIC wird nur im Jail aktiviert und bekommt eine IP-Adresse in einem Subnet die beiden NICs müssten natürlich über ein Crossover-Kabel verbunden werden.
So hätte man einen Netzwerk-Aufbau mit einer DMZ (bestehend aus dem Jail und einem Router (der Host).

buebo

 

[asg]

Original geschrieben von buebo
Man gibt ja der eigenen Netzwerk-Karte noch ein IP-Alias und ordnet diese dem Jail zu, bindet sich das Jail aber nun nur an diese Adresse, muss ich also Ports die auch auf dem tun-Device offen sein sollen explizit an das Jail weiterleiten?

Eine IP Adresse bindet sich immer da die Dienste die laufen. Oder andersrum, ein Port bindet sich immer an die IP. Daher muss man einer Jail und dem Hostsystem auch die IPs, wie bei ssh,..., auch konkret zuweisen.
Oder, wenn auf dem Host ein Apache rennt, und in der Jail auch, dann sollte einer der beiden auf einen anderen Port als 80 hören und die IP auf diesen gebunden sein.

Ansonsten weise doch im NATD einfach die Ports für donkey an die IP der Jail. Fertig ist der Lack.

 

[suicide]

Wenn ich nun will das NATD alle anfragen auf port 22 an das jail (192.168.11.100) weiterleitet, geb ich folgendes ein:

natd -redirect_port tcp 192.168.11.100:22 22

Leider funktioniert das nicht so ganz, kommt folgende Meldung:

natd: aliasing address not given.

Auch wenn ich statt 192.168.11.100:22 einen anderen Port nehme klappt das nicht.
Ich denke nur der alias port muss angegeben werden, so stehts in der manpage.
Die Addresse (Meine eigentliche internet IP-Addresse) ist ja dynamisch :-\

Wie kann ich mein problem einfach lösen?
Möchte bloß das man vom Internet aus auf den sshd im jail zugreifen kann, im LAN läuft das wunderbar.

 

[cfenns]

guten morgen alle zusammen

natd: aliasing address not given

das hängt damit zusammen das du kein interface für natd definiert hast. die meldung hatte ich auch. nach folgendem eintrag in meine natd.conf lief alles:

interface tun0

wobei das interface eben das ist was im inet hängt.

mfg cfenns

meine natd.conf

interface tun0
dynamic yes
use_sockets yes
unregistered_only yes
same_ports yes
redirect_port udp 192.168.0.197:4665 4665
redirect_port tcp 192.168.0.197:4661 4661
redirect_port tcp 192.168.0.197:4662 4662